Servicios / Evaluaciones técnicas
Pentesting de aplicaciones web.
Una aplicación reúne usuarios, permisos, información e integraciones. Evaluamos cómo se comportan esos componentes cuando se utilizan fuera de los recorridos previstos. El objetivo es identificar fallos explotables dentro del alcance autorizado y aportar evidencia que permita comprender su impacto y corregirlos.
- Superficie
- Aplicaciones y flujos de negocio
- Preparación
- Cuentas y roles acordados
- Resultado
- Informe con evidencia y recomendaciones
Cuándo tiene sentido.
Antes de un lanzamiento que incorpora usuarios, datos o funciones sensibles. Una evaluación puede ayudar a decidir qué correcciones atender antes de ampliar el uso del producto.
Después de modificar autenticación, permisos o procesos administrativos. También cuando un cliente solicita evidencia de una evaluación externa: conviene conocer qué activos y documentación requiere.
Qué se revisa.
Autenticación y sesiones
Inicio y cierre de sesión, recuperación de acceso y cambios de privilegios. Se considera qué ocurre con sesiones existentes y cómo se relacionan los distintos mecanismos de acceso. La revisión necesita cuentas representativas y una descripción del comportamiento esperado.
Autorización y separación de funciones
Operaciones sobre recursos, límites entre usuarios y funciones administrativas. Se contrasta la decisión del servidor con los permisos de cada rol. Ocultar una opción en la interfaz no demuestra que la operación esté restringida.
Reglas del negocio
Estados y transiciones de los recorridos importantes: aprobar, cancelar, exportar o modificar información. Conocer las reglas permite detectar comportamientos que una lista genérica de pruebas no describe, como una aprobación que conserva privilegios ya retirados.
Procesamiento de información
Entradas, archivos, respuestas y manejo de errores en las funciones acordadas. El análisis considera de dónde proviene la información, qué controles la procesan y qué componentes la utilizan. La evidencia se acota a los datos necesarios para demostrar el problema.
Integraciones
Intercambios con servicios externos y controles de la aplicación sobre sus respuestas. El alcance identifica qué extremos están autorizados; la relación comercial con un proveedor no habilita por sí sola pruebas contra sus sistemas.
Un cambio en un rol administrativo
Ejemplo ilustrativo: una persona pierde permisos de administración, pero mantiene una sesión abierta. La evaluación puede comprobar si el servidor aplica el cambio en las operaciones siguientes. El resultado depende de la política de sesiones del producto; esa política debe quedar definida antes de interpretar la prueba.
Cómo preparar la evaluación.
- Identificar aplicaciones y entornos, versiones previstas, URLs y restricciones operativas. Si existe una fecha de lanzamiento, indicarla al dimensionar el alcance.
- Preparar cuentas de prueba para cada rol y, si corresponde, organizaciones distintas. Usar datos sintéticos que permitan recorrer las funciones sin exponer información de personas reales.
- Compartir una demo de los recorridos prioritarios, documentación disponible y un contacto técnico. Acordar cómo se intercambian accesos y cómo se comunica un hallazgo que requiere atención.
Qué queda documentado.
Informe con activos, versión, roles, condiciones de ejecución y cobertura alcanzada. Las funciones inaccesibles o excluidas se identifican.
Hallazgos validados con condiciones necesarias, evidencia, impacto y recomendaciones sobre el control que debe cambiar. La prioridad se explica en el contexto del producto.
Síntesis para la toma de decisiones y detalle para el equipo de desarrollo. Si se acuerda revalidación, se documentan su alcance, ventana y resultado.
Explorar la muestra del informeCondiciones y límites.
La evaluación representa los activos y las condiciones que pudieron probarse. Un entorno de prueba puede diferir de producción; esa diferencia debe documentarse. Pruebas de carga, disponibilidad y sistemas de terceros requieren acuerdos propios. Cambios posteriores al trabajo pueden introducir comportamientos nuevos. El informe permite decidir y corregir sobre evidencia acotada.
El alcance final, los accesos y las condiciones comerciales quedan definidos en la propuesta. Podés consultar el recorrido de trabajo y la información para preparar una cotización.
El siguiente paso
Definamos qué necesitás evaluar.
Contanos qué hace tu sistema, qué cambió y qué necesitás conocer. Con ese contexto podemos conversar sobre el alcance.